Falam muito mal do eval
, mas, as vezes, me pergunto se ele realmente é o problema ou é a pessoa que está sentada na frente do computador (o suposto programador).
Minha vida inteira (na programação) tenho ouvido críticas, piadinhas, zoeiras em cima dessa função eval
, mas o curioso é que, mesmo aqueles que zoam, acabam por usar bibliotecas que a utilizam internamente, sem saber.
Um exemplo disso é Laravel 3
, que no sistema de views, utiliza eval
.
Exemplo (removi os comentários do código original):
public function get()
{
$__data = $this->data();
$__contents = $this->load();
ob_start() and extract($__data, EXTR_SKIP);
try
{
eval('?>'.$__contents);
}
catch (\Exception $e)
{
ob_get_clean(); throw $e;
}
$content = ob_get_clean();
if (Event::listeners('view.filter'))
{
return Event::first('view.filter', array($content, $this->path));
}
return $content;
}
É verdade, o mesmo já está descontinuado, mas não está numa era tão distante assim (a versão dele é para PHP 5.3). Porém não seria surpresa se um dos críticos de eval
tivesse utilizando esse framework sem saber dessa informação.
E ainda eu dou outro exemplo, que muitos programadores também usam, mas sem saber. O SuperClosure que é utilizado no Laravel 4 e Laravel 5. Essa biblioteca tem como finalidade prover uma possibilidade de serializar closures no PHP, já que nativamente as closures no PHP não têm suporte a serialização. Essa biblioteca se torna útil para quem precisa utilizar sistemas de filas, como o Beanstalkd, onde as informações passadas geralmente são uma string, e, portanto, os dados em PHP precisam ser serializados.
Exemplo:
/**
* Reconstruct a closure.
*
* HERE BE DRAGONS!
*
* The infamous `eval()` is used in this method, along with the error
* suppression operator, and variable variables (i.e., double dollar signs) to
* perform the unserialization logic. I'm sorry, world!
*
* This is also done inside a plain function instead of a method so that the
* binding and scope of the closure are null.
*
* @param array $__data Unserialized closure data.
*
* @return Closure|null
* @internal
*/
function __reconstruct_closure(array $__data)
{
// Simulate the original context the closure was created in.
foreach ($__data['context'] as $__var_name => &$__value) {
if ($__value instanceof SerializableClosure) {
// Unbox any SerializableClosures in the context.
$__value = $__value->getClosure();
} elseif ($__value === Serializer::RECURSION) {
// Track recursive references (there should only be one).
$__recursive_reference = $__var_name;
}
// Import the variable into this scope.
${$__var_name} = $__value;
}
// Evaluate the code to recreate the closure.
try {
if (isset($__recursive_reference)) {
// Special handling for recursive closures.
@eval("\${$__recursive_reference} = {$__data['code']};");
$__closure = ${$__recursive_reference};
} else {
@eval("\$__closure = {$__data['code']};");
}
} catch (\ParseError $e) {
// Discard the parse error.
}
return isset($__closure) ? $__closure : null;
}
GitHub - SerializableClosure.php - linha 187.
Pensando na utilidade das classes das bibliotecas apresentadas acima, lembrando que são só dois exemplos, mas deve haver outros casos, fiquei me questionando se eu deveria ainda continuar falando mau do eval
ou simplesmente fazer uma análise e avaliar quando é bom ou ruim usá-lo.
Por outro lado, se eu pensar que "todo eval, independente de como é implementado, é um risco", provavelmente vou ter que parar de usar as bibliotecas que citei acima, e fazer um trabalho todo manual...
Quais são os riscos de usar
eval
num projeto?Devo sempre evitá-lo?
Se a resposta for sim para "devo evitá-lo", então eu também deveria deixar de usar bibliotecas que o implementam? Afinal de contas, isso não pode pôr meu código em risco?
O
eval
deve ser utilizado em alguns casos bem específicos (como por exemplo, somente em geração de código) ou posso utilizá-lo livremente, desde que eu tenha consciência do que estou fazendo?
Nota: Favor não editar e colocar tags como php ou laravel, pois os exemplos foram apenas para mostrar casos onde eval
foi "bem recebido". Se houver exemplos de outras linguagens que o usem, será bem-vindo.
eval
existe, e não há um veredicto usa/não usa, cad um faz como quer.